Защита Active Directory: Кто может добавлять компьютеры в домен? Только администратор домена?

«Только администраторы домена могут добавлять компьютеры в домен.» Я не могу сосчитать, как много раз я слышал эти слова. Но при установке нового домена настраивается счетчик, который позволяет каждому пользователю домена добавлять до 10 компьютеров в домен. Это настройки по умолчанию. Эти настройки могут быть изменены и должны учитываться в концепции ИТ-безопасности.

ms-DS-MachineAccountQuota

Настройку можно найти в dsa.msc (включите расширенные функции!). Откройте dsa.msc (Пользователи и компьютеры Active Directory). Если они еще не включены, включите Расширенные функции. Далее откройте свойства вашего домена (щелкните правой кнопкой мыши), нажмите на Редактор атрибутов и перейдите к атрибуту ms-DS-MachineAccountQuota. Вы удивлены? Каждый пользователь (пользователь домена) может добавить до 10 компьютеров.

Или выполните простую однострочную команду в PowerShell. Не беспокойтесь о названии домена. Мы вызываем это из Get-ADDomain.

Get-ADObject ((Get-ADDomain).distinguishedname) -Properties ms-DS-MachineAccountQuota

Кто добавил client01 в домен?

Кто добавил client01 в домен? Петра — это пользователь домена и добавила client01 в домен. Мы можем это увидеть, запустив простую однострочную команду. Ладно, мне нужно признать, что это трёхстрочная команда. Мы изучаем атрибут ms-DS-CreatorSID учетной записи компьютера.

Get-ADComputer client01 -Properties mS-DS-CreatorSID | Select-Object -Expandproperty mS-DS-CreatorSID | Select-Object -ExpandProperty Value | Foreach-Object {Get-ADUser -Filter {SID -eq $_}}

Изменение значения по умолчанию

Значение 0 означает, что пользователям домена не разрешается добавлять учетные записи компьютеров.

Откройте свойства домена и дважды щелкните ms-DS-MachineAccountQuota. Измените значение. Это число представляет собой количество компьютеров, которые вы хотите, чтобы пользователи могли добавлять в домен. Я рекомендую изменить его на 0.

Или используйте PowerShell. Снова: Не беспокойтесь о доменном имени. Оно будет заполнено автоматически.

Set-ADDomain (Get-ADDomain).distinguishedname -Replace @{"ms-ds-MachineAccountQuota"="0"}

Влияние

Пользователь информируется о том, что достигнуто максимальное количество. При попытке присоединить компьютер к домену произошла следующая ошибка: